构建自定义加密流程混合 crypt() 和 openssl_*

M66 2025-05-28

在构建安全的 PHP 应用时，开发者常常面对加密需求，包括数据存储加密、用户密码保护、数据传输加密等。PHP 原生支持多种加密方式，其中 crypt() 函数适用于密码哈希，而 openssl_* 系列函数则适合用于对称与非对称加密、生成密钥、加密通信等任务。

在本文中，我们将结合使用 crypt() 和 openssl_* 函数构建一个自定义加密流程，以同时兼顾密码哈希安全性与数据加密的灵活性。

一、自定义加密流程的构思

我们希望实现如下目标：

用户密码哈希 —— 使用 crypt() 进行不可逆哈希；
数据加密 —— 使用 OpenSSL 对称加密算法加密用户的敏感数据；
密钥保护 —— 生成和管理密钥，确保加密过程的安全；
数据解密 —— 可还原密文为明文，前提是有正确密钥。

二、密码哈希：使用 crypt()

crypt() 是一个用于哈希密码的函数。我们推荐使用 bcrypt 算法，这是一种经过验证的适用于密码哈希的算法。

function hash_password($password) {
    $salt = '$2y$10$' . substr(str_replace('+', '.', base64_encode(random_bytes(16))), 0, 22);
    return crypt($password, $salt);
}

验证密码：

function verify_password($password, $hash) {
    return crypt($password, $hash) === $hash;
}

三、对称加密：使用 openssl_encrypt()

为了加密用户敏感数据，比如邮箱、身份证号，我们使用 OpenSSL 的对称加密方法，如 AES-256-CBC。

加密函数：

function encrypt_data($plaintext, $key) {
    $iv_length = openssl_cipher_iv_length('AES-256-CBC');
    $iv = openssl_random_pseudo_bytes($iv_length);
    $ciphertext = openssl_encrypt($plaintext, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv);
    return base64_encode($iv . $ciphertext);
}

解密函数：

function decrypt_data($encrypted, $key) {
    $data = base64_decode($encrypted);
    $iv_length = openssl_cipher_iv_length('AES-256-CBC');
    $iv = substr($data, 0, $iv_length);
    $ciphertext = substr($data, $iv_length);
    return openssl_decrypt($ciphertext, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv);
}

四、生成加密密钥

你可以使用 openssl_random_pseudo_bytes() 生成一个安全密钥：

function generate_secure_key($length = 32) {
    return base64_encode(openssl_random_pseudo_bytes($length));
}

在真实项目中，应使用安全方式存储密钥，如使用环境变量或密钥管理服务，而不是硬编码在代码中。

五、实际使用示例

$password = 'myStrongPassword123!';
$hashed = hash_password($password);

if (verify_password('myStrongPassword123!', $hashed)) {
    echo "密码验证通过\n";
}

$key = base64_decode('pL2u0xJNzYX2+x5sK8Xt5c34BLTPWhMHn0h0snA4MlQ='); // 示例密钥
$secret = '用户邮箱: user@example.com';
$encrypted = encrypt_data($secret, $key);
$decrypted = decrypt_data($encrypted, $key);

echo "加密后数据: $encrypted\n";
echo "解密后数据: $decrypted\n";

六、安全建议

使用 HTTPS 进行数据传输，加密的数据不要通过明文通道发送；
密钥管理是系统安全的核心，推荐配合安全模块如 HashiCorp Vault；
定期轮换密钥和算法；
切勿将加密密钥硬编码到 Git 仓库或前端代码中；
定期审计加密流程，及时修补已知漏洞。

七、应用场景扩展

这种结合使用 crypt() 和 openssl_* 的方式，适合应用于需要同时处理用户认证与敏感数据加密的场景，比如：

加密存储银行卡号、身份证；
保护用户聊天记录或私密信息；
构建用户密码与数据分离的多层安全机制；
在后台定时对加密数据进行自动解密和分析（需极度小心密钥泄露问题）。

八、结语

通过结合 crypt() 的不可逆哈希功能与 OpenSSL 的对称加密能力，我们能够建立一个较为完整、安全的加密系统，既适合用户密码管理，又能满足数据加密存储的需求。随着业务需求和安全威胁的演进，该方案也具备良好的可拓展性。

欲了解更多相关实现方案与最佳实践，可以访问官方文档或社区讨论平台，如：

https://m66.net/php/crypt
https://m66.net/php/openssl

crypt